미국 사이버보안 기관 CISA가 ConnectWise ScreenConnect에서 발견된 심각한 보안 취약점(CVE-2026-84869)이 실제 공격에 악용되고 있다고 공식 확인했습니다. 이 취약점은 낮은 권한만 있어도 파일 전송·실행이 가능하고, 사용자 개입 없이 공격할 수 있어 매우 위험합니다. CISA는 미국 연방기관에 3일 안에 시스템을 보호하도록 긴급 명령을 내렸으며, 현재 온라인에 노출된 미패치 인스턴스가 1,000개 이상입니다. ConnectWise는 ScreenConnect 26.6.5 이상 버전에서 패치를 제공했으며, 즉시 업데이트 또는 파일 전송 권한 비활성화가 필요합니다.
CISA가 ConnectWise ScreenConnect의 권한 관리 미흡 및 인가 누락 취약점(CVE-2026-84869)을 실제 악용 목록(KEV)에 등재했다. 북한 연계 Kimsuky 그룹과 랜섬웨어 조직 등이 과거에도 유사 취약점을 적극 활용해 왔다.
공격자는 낮은 권한으로도 원격 세션에서 호스트 확인 없이 파일 전송 및 실행이 가능하다. 전 세계 1,000개 이상의 인스턴스가 여전히 패치되지 않은 채 인터넷에 노출되어 있으며, 100,000개 이상의 IT 공급업체가 영향권에 있다.
ScreenConnect 클라이언트의 권한 관리 로직에 결함이 있어, 인가되지 않은 사용자가 활성 원격 세션을 통해 파일 작업을 수행할 수 있다.
ConnectWise는 ScreenConnect 26.6.5 이상 버전에서 패치를 배포했으며, 즉각 적용이 어려운 경우 TransferFiles 권한을 비활성화하는 임시 완화 조치를 안내했다. CISA는 미국 연방기관에 3일 내 조치를 의무화했다.
ScreenConnect를 사용 중인 MSP 및 IT팀은 즉시 26.6.5 이상으로 업데이트해야 하며, 업데이트 전까지는 TransferFiles 권한을 비활성화해야 한다. 인터넷에 노출된 ScreenConnect 인스턴스를 점검하고 불필요한 외부 접근을 차단하는 것이 중요하다.
본문
미국 사이버보안 및 인프라 보안국(CISA)에 따르면, 공격자들이 ConnectWise ScreenConnect의 심각한 취약점을 실제 환경에서 악용하고 있습니다.
ConnectWise는 9월 7일 이 인가 누락 결함에 대한 임시 완화 조치를 공유하며, 잠재적 공격을 차단하기 위해 TransferFiles 권한을 비활성화하도록 보안팀에 권고했습니다.
이 취약점(현재 CVE-2026-84869로 추적되며 ScreenConnect 26.6.5 이상에서 패치됨)은 ScreenConnect 클라이언트에 영향을 미치며, 기본 권한만 가진 위협 행위자가 사용자 개입 없이 낮은 복잡도의 공격으로 파일을 전송하거나 실행할 수 있게 합니다.
CISA는 금요일에 이 보안 결함을 실제 악용 취약점 목록에 추가하고, 미국 연방기관에 진행 중인 공격으로부터 시스템을 보호하도록 3일 이내에 조치할 것을 명령했습니다.
CISA는 "ConnectWise ScreenConnect에는 권한 관리 미흡 및 인가 누락 취약점이 모두 존재하여, 공격자가 인가 또는 호스트 확인 없이 활성 원격 세션을 통해 파일 전송 및 실행을 수행할 수 있습니다. 이러한 유형의 취약점은 악의적인 사이버 행위자들이 자주 활용하는 공격 경로이며, 연방 기업 환경에 심각한 위험을 초래합니다."라고 밝혔습니다.
2024년 이후 CISA는 ScreenConnect 보안 문제 4건을 실제 악용 사례로 지정했으며, 그 중 2건은 랜섬웨어 공격에도 악용되었습니다.
인터넷 위협 감시 기관인 Shadowserver는 현재 온라인에 패치되지 않은 채 공격에 노출된 ScreenConnect 인스턴스를 1,000개 이상 추적하고 있으며, 대부분은 북미(758개)와 유럽(180개)에 집중되어 있습니다.
패치되지 않은 ScreenConnect 인스턴스 현황 (Shadowserver)
ScreenConnect 취약점은 금전적 동기를 가진 해킹 그룹과 국가 지원 해킹 그룹 모두로부터 자주 표적이 됩니다.
예를 들어, 북한 연계 Kimsuky 해킹 그룹과 여러 랜섬웨어 조직은 2024년에 또 다른 ScreenConnect 결함(CVE-2024-1709)을 악용했습니다.
지난해에는 국가 지원 해커로 의심되는 집단이 ViewState 결함(CVE-2025-3935)을 악용한 코드 인젝션 공격으로 ConnectWise 시스템을 침해하고 일부 고객의 클라우드 기반 인스턴스에 접근한 사실이 공개된 후, ConnectWise가 디지털 코드 서명 인증서를 교체했습니다.
보다 최근인 3월에는 ConnectWise가 패치되지 않은 ScreenConnect 서버를 공격자가 탈취할 수 있는 암호화 서명 검증 취약점(CVE-2026-3564)을 수정했습니다.
ConnectWise는 전 세계 100,000개 이상의 IT 공급업체에 서비스를 제공하고 있으며, 많은 관리형 서비스 제공업체(MSP)와 IT 팀이 문제 해결, 패치 적용, 시스템 유지 관리를 위해 ScreenConnect 원격 접근 플랫폼을 사용하고 있습니다.
AI 기반 공격에 대비한 보안 청사진 구축
Mikko Hyppönen과 NFL, CHANEL, Atlassian의 보안 리더들이 함께하는 2시간짜리 디지털 서밋에 참여하세요. AI 속도의 공격이 무엇을 바꾸는지, 방어자가 멈춰야 할 것은 무엇인지, 그리고 머신 속도로 검증·결정·수정·재검증하는 방법을 다룹니다.
자리를 예약하세요
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
